azure - https ://graph. microsoft.com/v1.0/me 对于我以外的其他用户返回 403

Question

我使用 Express MSAL tutorial 开发了一个小应用程序作为身份验证机制。

我可以通过 https://graph.microsoft.com/v1.0/me 登录并请求我的用户信息就好了。

但是，如果我切换到测试用户(在同一域中)，则在访问 https://graph.microsoft.com/v1.0/me 时会收到 403 错误。还证实这发生在一位同事身上(也在同一域中)

使用jwt.ms ，我可以看到我为自己的用户获得的访问 token 具有 scp: openid profile User.Read email 而我的测试用户仅获得 scp: openid profile email。所以我想，它正在按预期工作。但是，问题是 - 如何将 User.Read 添加到使用该应用程序的所有用户？

在 Azure 门户中我的应用程序的 API 权限中，我将 Delegate User.Read 作为权限。 (我认为这是自动添加的)

Answer 1

我尝试在我的环境中重现相同的情况，但得到了如下相同的错误:

如果用户没有执行操作所需的权限，通常会发生此错误:

要解决该错误，请尝试以下操作:

我同意DipeshJadav，生成范围的 token 为https://graph.microsoft.com/.default:

访问 token 在解码时包含 user.read 权限，如下所示:

通过正确的范围后，我能够成功读取用户详细信息:

在您的代码中尝试将范围传递为:范围:[“https://graph.microsoft.com/.default”]

如果问题仍然存在，请授予管理员对 API 权限的同意: